[debian-users:45906] Re: [summary] suid したスクリプトからの scp ssh

[SHIBATA Akira <shibata@xxxxxxxxxxxxxx>]

柴田(あ)です。

scponly について追伸です。

<200602121650.DAI55240.CUJTBBI@xxxxxxxxxxxxxx> の、
   "[debian-users:45897] [summary] suid したスクリプトからの scp ssh" において、
   "Sun, 12 Feb 2006 16:51:01 +0900" 発信のメイルで
   "SHIBATA Akira <shibata@xxxxxxxxxxxxxx>"さんは書きました：

> ■土屋さん提案のセキュリティ向上策について
> おっしゃっていることが私にも理解できましたので、
> command="/home/hoge/script/STEP3.sh" などのようにすることは
> 実験としては成功しましたが、上述の STEP2.sh にある
> scp が問題になりました。
> そこで scponly というシェルを導入しようと思ったら、
> 下のようにエラー吐かれたので、とりあえず今回はいいかと
> いう気になりました。
> 
> $ sudo aptitude install scponly
> Reading Package Lists... Done
> Building Dependency Tree
> Reading extended state information
> Initializing package states... Done
> Reading task descriptions... Done
> The following NEW packages will be installed:
>   scponly
> 0 packages upgraded, 1 newly installed, 0 to remove and 0 not upgraded.
> Need to get 0B/29.2kB of archives. After unpacking 164kB will be used.
> Writing extended state information... Done
> Preconfiguring packages ...
> dpkg: syntax error: unknown group `Debian-exim' in statusoverride file
> E: Sub-process /usr/bin/dpkg returned an error code (2)
> Ack!  Something bad happened while installing packages.  Trying to recover:
> Reading Package Lists... Done
> Building Dependency Tree
> Reading extended state information
> Initializing package states... Done
> Reading task descriptions... Done
> $ dpkg -l | grep scponly
> $
> 
> エラーから想像するに exim がないせいだと思います。
> このリモートのマシンは qmail が動いているので
> やむをえないと考えました。
> 将来治るのかもしれませんが、致命的問題でもないように
> 思います。

よく読むと group として存在していないからだと
いうことに気づきましたので、他の exim を抜いていない
PC の /etc/group と /etc/passwd と /etc/shadow の
を参考(すこし数値が違うものがあった)に Debian-exim という
エントリを追加したところインストールが完了しました。


scponly というユーザを追加し、シェルを scponly という
ことにしまして、転送も可能なようになりました。
ためしに 
$ sudo ssh -i /home/hoge/.ssh/id_rsa.scp -l scponly 192.168.1.2
のようにログインできそうか試してみましたが、
端末はダンマリになりましたので、成功だと思います。
Feb 14 10:14:01 server sshd[7358]: Accepted publickey for scponly from ::ffff:192.168.1.1 port 56613 ssh2
Feb 14 10:14:01 server sshd[7360]: (pam_unix) session opened for user scponly by (uid=0)
Feb 14 10:14:46 server sshd[7360]: (pam_unix) session closed for user scponly

-- 
SHIBATA Akira      ケーブルテレビはまちづくり
shibata@xxxxxxxxxxxxxx   phone : +81-429-74-3611